Que faire dans les 24 premieres heures apres un piratage (la panique est le pire conseiller)
Un piratage détecté déclenche souvent la panique - et c'est justement elle qui aggrave les dégâts. Voici la marche à suivre, heure par heure, pour limiter l'impact, préserver les preuves et reprendre le contrôle sans céder à l'urgence mal gérée.
La panique est le pire conseillerUn système compromis déclenche presque toujours la même réaction : redémarrer la machine, tout supprimer, changer tous les mots de passe dans le désordre, ou pire, ne rien faire en espérant que "ça passe". Ces réflexes, bien qu'humains, détruisent souvent les preuves nécessaires pour comprendre l'attaque et empêchent une remédiation propre.Les 24 premières heures ne sont pas le moment de tout réparer. C'est le moment de contenir, préserver et comprendre, dans cet ordre précis.Heure 0 à 1 — Contenir sans détruire Isoler, ne pas éteindreDéconnecter la machine du réseau (câble Ethernet, Wi-Fi) coupe l'accès à l'attaquant sans effacer la mémoire vive, contrairement à un arrêt brutal. Si l'appareil est éteint, la RAM - souvent riche en indices (process malveillants, connexions actives, clés de session) - disparaît.Ne pas réinstaller tout de suiteRéinstaller le système immédiatement après un incident supprime les traces qui permettraient de savoir comment l'attaquant est entré. Sans cette information, rien ne garantit qu'il ne reviendra pas par la même porte.Alerter en interne, calmementPrévenir la personne responsable (soi-même, un responsable IT, ou un prestataire) sans envoyer de message d'alarme à toute l'équipe. La communication doit être maîtrisée pour éviter la panique collective et les fuites d'information prématurées.Heure 1 à 6 — Préserver les preuvesDocumenter avant de toucher à quoi que ce soitCapturer des captures d'écran, noter les heures, lister les comptes ou fichiers suspects observés. Cette documentation initiale est souvent la seule trace fiable une fois que des actions correctives auront été engagées. Copier avant de nettoyerSi les compétences ou les outils le permettent, réaliser une image disque ou au minimum une copie des journaux système (logs) avant toute suppression. Ces preuves seront utiles pour l'analyse post-incident et, le cas échéant, pour un dépôt de plainte.Identifier le périmètre touchéUn seul compte compromis ? Un serveur entier ? Une base de données clients ? Le périmètre de l'incident détermine la suite : qui prévenir, quelles obligations légales s'appliquent, quel niveau d'urgence retenir.Heure 6 à 24 — Reprendre le contrôleChanger les identifiants critiques, méthodiquementPrioriser les accès à plus fort impact (comptes administrateur, accès bancaires, emails professionnels) plutôt que de changer tous les mots de passe dans la précipitation, au risque d'en oublier les plus sensibles.Vérifier les portes dérobéesUn attaquant qui a eu accès a pu créer un compte supplémentaire, ajouter une tâche planifiée, ou installer un accès distant discret. Une simple réinitialisation de mot de passe ne suffit pas si ces portes dérobées restent actives. Prévenir les parties concernéesClients, partenaires ou autorités compétentes selon la nature des données touchées. Une communication tardive ou absente est souvent plus dommageable pour la confiance que l'incident lui-même.Planifier l'analyse approfondieLes 24 premières heures servent à stabiliser la situation, pas à tout résoudre. L'étape suivante — analyse forensique complète, correction des failles, renforcement de la sécurité - se prépare une fois l'urgence immédiate maîtrisée.En résuméIsoler sans détruire. Documenter avant d'agir. Prioriser les accès critiques. Vérifier qu'aucune porte dérobée ne subsiste. Chaque heure compte, mais la précipitation coûte plus cher que la méthode.Livré en 48h. Message privé pour réserver.Kra Axiom — Développeur full-stack & spécialiste sécurité web, AbidjanWOMA — scanner de vulnérabilités